Neue PHP-RCE-Lücke: Ungewöhnliche Konfiguration erfordert vorübergehende Maßnahme
PHP hat am 23. Oktober vor CVE-2026-115560 gewarnt, einer weiteren Möglichkeit, Code auf einem Webserver auszuführen. Die Lücke folgt nur zwei Tage nach den Notfallupdates gegen die kritischen PHP2Shell-Schwachstellen, ist davon aber getrennt. Für die neue Schwachstelle gibt es zunächst keinen weiteren Notfallpatch. PHP empfiehlt stattdessen, die Upload-Fortschrittsfunktion vorübergehend abzuschalten.
Das Risiko betrifft keine beliebige PHP-Installation. Eine Webanwendung muss den Session-Serialisierungs-Handler zunächst auf php_binary oder php_serialize setzen, ihn anschließend zur Laufzeit mit ini_set() auf php ändern und diese Änderung vor session_start() ausführen. Zusätzlich muss die Funktion für den Upload-Fortschritt noch aktiviert sein. Anwendungen, die den Serialisierungs-Handler während der Laufzeit nicht verändern, sind über diesen beschriebenen Pfad nicht betroffen.
Für die betroffene Konfiguration nennt PHP eine unmittelbar umsetzbare Übergangsmaßnahme: session.upload_progress.enabled=0 setzen. Nach Angaben des Projekts handelt es sich um dieselbe Einstellung, die bereits als Abhilfe für CVE-2026-109619 genannt wurde. Wer diese Einstellung nach der früheren Warnung bereits gesetzt und beibehalten hat, muss für CVE-2026-115560 daher keine zusätzliche Maßnahme ergreifen.
Die Funktion ist standardmäßig aktiviert und dient dazu, den Fortschritt eines Datei-Uploads zu verfolgen. PHP stuft die erforderliche Kombination als in der Praxis wahrscheinlich selten ein. Deshalb soll die Behebung im regulären Veröffentlichungszyklus erfolgen; eine vollständige Sicherheitsmeldung will das Projekt mit der nächsten Veröffentlichung bereitstellen.
Die kurz zuvor veröffentlichten PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben die beiden PHP2Shell-Lücken CVE-2026-109618 und CVE-2026-109619. Sie beheben jedoch nicht CVE-2026-115560. Betreiber sollten diese beiden Sachverhalte deshalb getrennt prüfen: Die früheren Updates bleiben für die alten Schwachstellen relevant, während die neue Warnung die Konfiguration und die genannte Übergangsmaßnahme betrifft.
Für CVE-2026-115560 wurde bislang keine Ausnutzung gemeldet. Die seit dem 21. Oktober beobachteten Angriffe richten sich laut der vorliegenden Einschätzung gegen die beiden älteren PHP2Shell-Schwachstellen, nicht gegen die neue Lücke. Offen bleiben unter anderem die betroffenen PHP-Versionen, die genaue Zielversion für die Behebung und eine Einstufung des Schweregrads.